|
Das Wichtigste in Kürze:
|
Inhaltsverzeichnis:
Als Verordnung der EU wurde DORA bereits im Dezember 2022 verabschiedet und ist am 17. Januar 2025 in Kraft getreten. Dabei ist eine Vielzahl von Unternehmen aus dem Finanzbereich betroffen, u. a. Banken, Versicherungen, Zahlungsdienstleister und IT-Drittanbieter.
Die Verordnung sieht einige Maßnahmen vor, die die betroffenen Unternehmen umzusetzen haben. Ähnlich wie bei der NIS-2-Richtlinie legt die DORA-Verordnung verpflichtende Maßnahmen im IT-Risikomanagement fest, außerdem wird die Erstellung von Notfallplänen gefordert und das zeitnahe Melden IKT-bezogener Vorfälle sowie regelmäßige Resilienz- und Penetrationstests werden ebenfalls gefordert.
Darüber hinaus soll eine verstärkte Kontrolle und ein umfassendes Risikomanagement hinsichtlich Drittanbietern sichergestellt werden, beispielsweise gegenüber Zahlungsdienstleistern.
Prinzipiell richtet sich die Verordnung an Finanzunternehmen und deren IT-Drittanbieter, die in der EU tätig sind. Die Verordnung gilt direkt und verpflichtend für die betroffenen Unternehmen.
Diese lassen sich in zwei Kategorien teilen:
| Finanzinstitute | IT-Dienstleister mit kritischer Infrastruktur |
|
|
Die Nichteinhaltung der Pflichtmaßnahmen kann mit Geldstrafen geahndet werden, außerdem ist die Rede von möglichen regulatorischen Einschränkungen. Kritische IT-Dienstleister können somit von den Aufsichtsbehörden dazu verpflichtet werden, ihre Sicherheitsmaßnahmen zu verbessern oder ihren Betrieb in der EU anzupassen.
Der Digital Operational Resilience Act (DORA) stellt fünf zentrale Anforderungen an Finanzunternehmen und ihre IT-Drittanbieter. Durch ihre Umsetzung sollen Cyberrisiken minimiert und die digitale Widerstandsfähigkeit der Unternehmen gestärkt werden.
Dabei geht es um folgende Aspekte:
1) IKT-Risikomanagement
Die betroffenen Unternehmen müssen über die folgenden Maßnahmen ein umfassendes IKT-Risikomanagement implementieren:
2) IT-Vorfallerkennung, -meldung und -bewältigung
Betroffene Unternehmen müssen Cyberangriffe und IT-Störungen systematisch erfassen und melden. Dabei kommt es im Wesentlichen auf die folgenden Schritte an:
3) Eine verbesserte Kontrolle von Drittanbieter-Risiken sowie ein Überwachungs-Framework für Drittdienstleister
Betroffene Unternehmen müssen ihre IT-Drittanbieter, z. B. Cloud-Services, Softwareanbieter oder Zahlungsdienstleister, aktiv überwachen und mögliche Risiken minimieren. Dabei spielen die folgenden Maßnahmen eine Rolle:
5) Gemeinsamer Informationsaustausch hinsichtlich Cyberbedrohungen
Finanzinstitute sollen Informationen zu Cyberrisiken und Angriffsmethoden austauschen, um gemeinsam mit den anderen Akteuren in der Finanzbranche aktiv Bedrohungen zu bekämpfen. Dazu gehören die folgenden Maßnahmen:
|
|
Wichtig zu wissen: DORA ist am 17. Januar verbindlich und unmittelbar in Kraft getreten. Aufsichtsbehörden wie EBA, ESMA und EIOPA überprüfen seit dem Stichtag die Einhaltung. Sofern die Maßnahmen von betroffenen Unternehmen nicht umgesetzt worden sind, können die Finanzaufsichtsbehörden Geldstrafen und Sanktionen verhängen. Insbesondere für kritische IT-Dienstleister sind sogar Betriebseinschränkungen möglich. |
Einige der geforderten Maßnahmen aus der DORA-Verordnung mögen an die NIS-2-RIichtlinie erinnern. Tatsächlich verfolgen beide gesetzliche Regelungen das Ziel, die Cybersicherheit zu stärken, unterscheiden sich jedoch in ihrem Anwendungsbereich und ihren Schwerpunkten.
Nachfolgend zeigen wir die wesentlichen Unterschiede zwischen beiden Regelwerken auf.
Die seit 17. Januar 2025 geltende DORA-Verordnung stellt einen bedeutenden Meilenstein für die digitale Widerstandsfähigkeit des Finanzsektors in der EU dar. Sie betrifft nicht nur Banken, sondern auch Versicherungen, FinTechs, Krypto-Dienstleister und IT-Drittanbieter.
Angesichts der zunehmenden Digitalisierung und der wachsenden Bedrohung durch Cyberangriffe setzt DORA verbindliche Standards für Finanzunternehmen und deren IT-Dienstleister.
Im Vergleich zur NIS-2-Richtlinie, die auf eine breitere Palette kritischer Infrastrukturen abzielt, fokussiert sich DORA spezifisch auf den Finanzsektor und dessen digitale Betriebsstabilität.
Die fünf zentralen Anforderungen – vom IKT-Risikomanagement über Vorfallmeldung bis hin zur Kontrolle von Drittanbietern – tragen dazu bei, Risiken frühzeitig zu erkennen und die operative Resilienz zu stärken.
Doch unabhängig von der gesetzlichen Pflicht sind die geforderten Maßnahmen essenziell für die Sicherheit in der Finanzbranche. Die Umsetzung ermöglicht es den einzelnen Akteuren sich besser vor Cyberangriffen zu schützen und ihre digitale Resilienz zu verbessern.
Ein ganzheitlicher Ansatz in der IT-Sicherheit wird deshalb immer wichtiger. Wenn Sie Unterstützung dabei brauchen, ist das Team der netgo gerne an Ihrer Seite – mit zeitgemäßen Lösungen aus einer Hand und der passenden Beratung.